Le gouvernement am\u00e9ricain a d\u00e9clar\u00e9 jeudi avoir d\u00e9mantel\u00e9 un botnet comprenant des centaines de routeurs de petits bureaux et de bureaux \u00e0 domicile (SOHO) dans le pays, utilis\u00e9 par l’acteur russe APT28 pour dissimuler ses activit\u00e9s malveillantes.<\/p>\n
“Ces crimes comprenaient de vastes campagnes de spear phishing et des campagnes similaires de collecte d’informations d’identification contre des cibles pr\u00e9sentant un int\u00e9r\u00eat pour le gouvernement russe en mati\u00e8re de renseignement, telles que les gouvernements am\u00e9ricains et \u00e9trangers et les organisations militaires, de s\u00e9curit\u00e9 et d’entreprises”, a d\u00e9clar\u00e9 le minist\u00e8re am\u00e9ricain de la Justice (DoJ). dit<\/a> dans un rapport.<\/p>\n APT28, \u00e9galement suivi sous les surnoms BlueDelta, Fancy Bear, Fighting Ursa, Forest Blizzard (anciennement Strontium), FROZENLAKE, Iron Twilight, Pawn Storm, Sednit, Sofacy et TA422, est consid\u00e9r\u00e9 comme \u00e9tant li\u00e9 \u00e0 l’unit\u00e9 26165 de la Direction principale de la Russie. l’\u00e9tat-major g\u00e9n\u00e9ral (GRU). On sait qu’il est actif depuis au moins 2007.<\/p>\n Des documents judiciaires all\u00e8guent que les attaquants ont men\u00e9 leurs campagnes de cyberespionnage en s’appuyant sur MooBot, un botnet bas\u00e9 sur Mirai qui a s\u00e9lectionn\u00e9 les routeurs fabriqu\u00e9s par Ubiquiti pour les coopter dans un maillage d’appareils pouvant \u00eatre modifi\u00e9s pour agir comme proxy. relayant le trafic malveillant tout en prot\u00e9geant leurs adresses IP r\u00e9elles.<\/p>\n Le botnet, a d\u00e9clar\u00e9 le DoJ, a permis aux acteurs malveillants de masquer leur v\u00e9ritable emplacement et de r\u00e9colter des informations d’identification et des hachages NT LAN Manager (NTLM) v2 via des scripts sur mesure, ainsi que d’h\u00e9berger des pages de destination de spear phishing et d’autres outils personnalis\u00e9s pour forcer brutalement les mots de passe. , en volant les mots de passe des utilisateurs du routeur et en propageant le malware MooBot \u00e0 d’autres appareils.<\/p>\n Dans un affidavit expurg\u00e9 d\u00e9pos\u00e9 par le Federal Bureau of Investigation (FBI) des \u00c9tats-Unis, l’agence a d\u00e9clar\u00e9 que MooBot exploite les routeurs Ubiquiti vuln\u00e9rables et accessibles au public en utilisant des informations d’identification par d\u00e9faut et implante un malware SSH qui permet un acc\u00e8s \u00e0 distance persistant \u00e0 l’appareil.<\/p>\n “Des cybercriminels non-GRU ont install\u00e9 le malware Moobot sur les routeurs Ubiquiti Edge OS qui utilisaient encore des mots de passe administrateur par d\u00e9faut connus du public”, a expliqu\u00e9 le DoJ. “Les pirates du GRU ont ensuite utilis\u00e9 le malware Moobot pour installer leurs propres scripts et fichiers sur mesure qui ont r\u00e9utilis\u00e9 le botnet, le transformant en une plateforme mondiale de cyberespionnage.”<\/p>\n Les acteurs APT28 sont soup\u00e7onn\u00e9s d’avoir trouv\u00e9 et d’avoir acc\u00e9d\u00e9 ill\u00e9galement \u00e0 des routeurs Ubiquiti compromis en effectuant des analyses publiques d’Internet en utilisant un num\u00e9ro de version OpenSSH sp\u00e9cifique comme param\u00e8tre de recherche, puis en utilisant MooBot pour acc\u00e9der \u00e0 ces routeurs.<\/p>\n Les campagnes de spear phishing entreprises par le groupe de piratage ont \u00e9galement exploit\u00e9 un jour z\u00e9ro dans Outlook (CVE-2023-23397) pour siphonner les informations de connexion et les transmettre aux routeurs.<\/p>\n “Dans une autre campagne identifi\u00e9e, les acteurs d’APT28 ont con\u00e7u une fausse page de destination Yahoo! pour envoyer les informations d’identification saisies sur la fausse page \u00e0 un routeur Ubiquiti compromis afin que les acteurs d’APT28 les collectent \u00e0 leur convenance”, a d\u00e9clar\u00e9 le FBI.<\/p>\n Dans le cadre de ses efforts visant \u00e0 perturber le botnet aux \u00c9tats-Unis et \u00e0 pr\u00e9venir de nouveaux crimes, une s\u00e9rie de commandes non sp\u00e9cifi\u00e9es ont \u00e9t\u00e9 \u00e9mises pour copier les donn\u00e9es vol\u00e9es et les fichiers malveillants avant de les supprimer et modifier les r\u00e8gles du pare-feu pour bloquer l’acc\u00e8s \u00e0 distance d’APT28 aux routeurs. <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/02\/Le-gouvernement-americain-demantele-un-botnet-russe-engage-dans-le.jpg\")
<\/a><\/center><\/div>\n